[发明专利]一种基于第三方认证的安全登陆的系统及方法

说明书

本发明提供一种基于第三方认证的安全登陆的系统及方法，所述系统包括依次连接的客户端、业务服务器和第三方认证服务器；所述业务服务器中设置有客户端IP白名单并存储有用户账户；所述第三方认证服务器中存储有用户密码。本发明通过设置客户端IP白名单能够缩小合法登陆客户端IP范围，避免大量不合法的IP登陆，并将用户账户存储于业务服务器，将用户密码存储于第三方认证服务器，由此将用户账户和用户密码分离存储，保证账户密码安全。

技术领域

本发明涉及网络安全技术领域，具体而言，涉及一种基于第三方认证的安全登陆的系统及方法。

背景技术

现有公知的登陆验证方案多为用户尝试多次登陆失败后禁止用户登陆，或者登陆1次或多次失败后输入验证码或者验证短信登陆。

现有公知的技术方案中登陆账户用户名及密码存储于和业务数据同一数据库中，如果业务服务器被攻破，账户信息可能全部丢失。

现有公知的登陆验证方案大多没有对登陆访问IP做限制，任意IP可登陆系统，存在被攻击IP定点攻击的风险。

发明内容

本发明旨在提供一种基于第三方认证的安全登陆的系统及方法，以解决没有IP限制以及账户密码存储在一起存在登陆安全的问题。

本发明提供了一种基于第三方认证的安全登陆的系统，包括依次连接的客户端、业务服务器和第三方认证服务器；所述业务服务器中设置有客户端IP白名单并存储有用户账户；所述第三方认证服务器中存储有用户密码。

本发明还提供一种基于第三方认证的安全登陆的方法，所述方法为采用上述的系统执行如下步骤：

S1，在客户端输入用户账户和用户密码进行登陆操作，并将输入的用户账户和用户密码发送至业务服务器；

S2，业务服务器获取客户端IP，并判断获取的客户端IP是否存在于客户端IP白名单中，若存在则执行S3，否则向客户端返回登陆失败的信息；

S3，业务服务器判断接收的用户账户是否存在，若存在则将接收的用户密码发送至第三方认证服务器并执行S4，否则向客户端返回登陆失败的信息；

S4，第三方认证服务器对接收的用户密码进行密码校验，若密码校验成功则返回校验成功信息至业务服务器使客户端完成登陆，否则返回校验失败信息至业务服务器使客户端不能登陆，并向客户端返回登陆失败的信息。

在一些实施例中，每次在客户端输入用户账户和用户密码进行登陆操作时记录登陆操作的时间，由此所述方法还包括：

S5，当向客户端返回登陆失败的信息并且在客户端再次输入用户账户和用户密码进行登陆操作时，重新执行步骤S1～S4：

(1)若此时经过步骤S4密码校验成功，则判断两次登陆操作时间间隔是否大于复位时间t，若两次登陆操作时间间隔大于复位时间t，则返回校验成功信息至业务服务器使客户端完成登陆，否则该用户账户被锁定；

(2)若此时经过步骤S4密码校验失败，则返回校验失败信息至业务服务器使客户端不能登陆，并向客户端返回登陆失败的信息。

在一些实施例中，每次密码校验失败时记录密码校验失败次数自加1；由此所述方法还包括：

S5，当向客户端返回登陆失败的信息并且在客户端再次输入用户账户和用户密码进行登陆操作时，重新执行步骤S1～S4：

(1)若此时经过步骤S4密码校验成功，则判断此时密码校验失败次数是否小于IP锁定策略次数，若密码校验失败次数小于IP锁定策略次数，则返回校验成功信息至业务服务器使客户端完成登陆，否则该用户账户被锁定；

(2)若此时经过步骤S4密码校验失败，则记录密码校验失败次数自加1并返回校验失败信息至业务服务器使客户端不能登陆，并向客户端返回登陆失败的信息。